“Path Insecurity” – クッキー/HTTP認証のパスは信頼できるか?

5月 15, 2006 Security
(Last Updated On: 2006年5月15日)

3月1日に”Path Insecurity” と題するテクニカルノートが投稿されていますが、さっき試しに“Path Insecurity”をキーワードにググってみても日本語のページが一つも無いので要旨だけ書いておきます。



MLではHttpOnly Cookieの攻略など最近これに関連した話題で盛り上がっていました。こちらも面白いので興味のある方はMLのアーカイブを検索してみてはいかがでしょうか。(特に共有サーバを利用されている方)

“Path Insecurity”を投稿した方が書いた別のメールには次のような文面も… IE7では直る?

Note that my %2e%2e “finding” for IE 6.0 of early 2006 was
assigned a CVE number CAN-2003-0513 on July 2003.
I suppose Microsoft didn’t find time to fix this in over 2.5
So, to clarify: while I did think of the %2e%2e all by
myself, it was apparently known to the public (courtesy of
Martin O’Neal from Corsaire) for over 2 years.
And that’s what matters


投稿者: yohgaki